日本で事業を展開する企業は、やや特異なコンプライアンス環境に直面している。日本のAI関連法である「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号、2025年6月4日公布、いわゆるAI推進法）は、推進・枠組み型の法律である。AIシステムに対する禁止行為も罰則も、義務的な適合性評価も定めていない。企業に課される唯一の義務は、第7条に基づく、国のAI施策に協力するよう努める非拘束的な努力義務にすぎない。これは、政府の中心的なガイダンス文書である経済産業省・総務省のAI事業者ガイドラインや、金融庁のAIディスカッションペーパーのような業種別文書についても同様である。いずれも任意のものである。

だからといって、日本がAI導入におけるリスクの低い法域であるという意味ではない。日本でAIを利用する企業を実際に拘束するのは、個人情報保護法（APPI）、著作権法、競争法、そして金融、医療をはじめとする規制業種向けの業種別規制といった、AIに適用される既存法である。コンプライアンス部門やガバナンス部門にとって実務上の課題は、「日本のAI規制」を単一の問いとして扱うのをやめ、拘束力のある法律への確実な準拠と、任意の注意義務基準への整合を文書化するという、二つの並行したトラックを運用することである。本チェックリストは、ガバナンス・プログラムが実際に取り組むべき順序に沿って、その両方を示す。

1. AIシステムの完全なインベントリを整備する

このステップなくして、以下のいずれも実行することはできない。企業は往々にして、自社がどれだけ多くのAIシステムを利用しているかを過小評価しがちである。これは、リスクの多くが、一元的に調達されたシステムよりも、従業員が非公式に導入したツールに由来しているためである。

  • 日本での事業に利用されている、あるいは影響を及ぼしているすべてのAIシステムを洗い出す。社内で構築したモデル、ライセンス供与を受けたエンタープライズAI製品、サードパーティ製ソフトウェアに組み込まれたAI機能、そして従業員が直接アクセスする生成AIツールを含む。
  • 各システムについて、担う業務機能、個人情報を処理するか否か、著作物を学習または取り込んでいるか否か、ベンダー名およびベンダーがデータを処理する場所、そしてそのユースケースが規制業種（金融サービス、医療、雇用に関する意思決定）に関わるか否かを記録する。
  • AI事業者ガイドラインの分類に従い、各システムについて自社の役割を区分する。当該システムにおいて自社は「AI開発者」「AI提供者」「AI利用者」のいずれとして関わっているかを判断する。同一組織であってもシステムごとに異なる役割を担うことがあり、期待される任意の対応措置は役割によって異なる。
  • システムごとに責任者を割り当て、見直しの頻度を定める。新たなツールやモデルのバージョンが次々と導入されるため、AIインベントリはすぐに陳腐化するためである。

2. すべてのAIユースケースに個人情報保護法上の義務を当てはめる

個人情報保護法は個人情報保護委員会（PPC）によって執行されており、他のあらゆる個人情報の取扱いと全く同様にAIシステムにも適用される。AIを対象とした適用除外は存在しない。PPCは2023年6月2日、生成AIサービスの利用に関する注意喚起を公表し、プロンプトに個人情報を入力する際は特定された利用目的の達成に必要な範囲にとどめなければならないこと、また、回答の生成を超えてモデルの追加学習などの目的で個人データを利用する場合は、適切に開示し同意を得ていなければ、別途、個人情報保護法上の問題を生じ得ることを事業者に注意喚起した。

  • 従業員が顧客情報や人事データを生成AIのプロンプトに貼り付ける場合を含め、AIシステムに入力される個人情報の利用目的が、個人情報保護法の要件に沿って特定され、通知・公表されていることを確認する。
  • AIツールのベンダー契約および利用規約を精査し、プロンプトデータやアップロードされたコンテンツがベンダー自身のモデル学習のために保持・利用されているか否か、また、その利用が開示されており自社の定める利用目的と整合しているかを確認する。
  • AIベンダーが日本国外でデータを処理している場合には、個人情報保護法の越境移転規制を適用する。多くの生成AIプラットフォームが海外のインフラを経由してデータを処理していることを踏まえると、これは形式的な確認事項ではなく、現に対応を要する論点である。
  • 健康情報、犯罪歴といった要配慮個人情報を明らかにする、あるいは推知させるようなAIの出力については、当該情報を直接取得した場合と同じ取扱い要件を個人情報保護法に従って適用する。
  • 個人情報保護法の改正動向を注視する。改正法案は2026年4月7日に閣議決定を経て国会に提出された。同法案は、AI学習における一部の利用を明確化することを意図した「統計処理」概念の新設をはじめ、AIに関連するデータ利用を直接的に取り扱うとともに、生体情報や未成年者のデータに関する規制の強化、PPCの執行権限の拡大も盛り込んでいる。個人情報保護委員会自身の発表によれば、同法案は2026年7月10日に国会で可決成立し、2026年7月17日に公布された（官報令和8年特別号外第160号、ppc.go.jp/news/press/2026/260717/）。コンプライアンスのスケジュールを確定する際は、施行日および経過措置について、PPCが公表する施行ガイダンスで必ず確認すること。

3. 学習およびコンテンツ利用について著作権法第30条の4をクリアする

2019年1月1日に施行された著作権法第30条の4は、著作物に表現された思想又は感情を自ら享受し又は他人に享受させることを目的としない場合に限り、AI学習を含む情報解析の用に供するための著作物の利用を、権利者の許諾なく認めている。この許容範囲は広いが、絶対的なものではない。著作物の種類及び用途並びに当該利用の態様に照らし、著作権者の利益を不当に害することとなる場合には適用されない。

  • 学習またはデータ解析のユースケースごとに、第30条の4への依拠の目的を文書化する。当該システムが統計的なパターンを抽出しているだけなのか、それともその出力が市場において原著作物の代替となるリスクを有するのかを検討する。
  • 特定の権利者のカタログのみから抽出した狭く選別されたデータセットで学習させる場合や、出力が特定の既存著作物と酷似するシステムなど、リスクが高い類型については、特に但書に基づく検討を行う。これらは適用除外の範囲外と判断されやすい事実パターンだからである。
  • 文化庁が2024年に公表したガイダンス、すなわち文化審議会著作権分科会法制度小委員会による「AIと著作権に関する考え方について」、およびそれに付随するAI関連著作権に関するチェックリストを参照する。いずれも、同庁が現時点で第30条の4の但書をどのように解釈しているかを示すものである。
  • 学習の論点と出力の論点を切り分ける。第30条の4が規律するのは著作物を入力として利用する行為であり、特定のAI出力が既存の著作物を侵害するか否かは、類似性や依拠性を含む通常の侵害判断の枠組みで評価されるべき事項であって、第30条の4によって解決される問題ではない。
  • 学習データの出所およびライセンスに関する判断の記録を保持する。紛争が生じた場合、当該利用が適用除外の範囲内であること、あるいは範囲外であればライセンスを取得していたことを立証する責任は、企業側が負うことになるためである。

4. 事実上の注意義務基準としてAI事業者ガイドラインに整合させる

経済産業省と総務省が共同で策定したAI事業者ガイドラインは、完全に任意であるにもかかわらず、日本において国としてのAIガバナンス基準に最も近い存在である。バージョン1.0は2024年4月19日に公表され、それまで別々であった開発、提供・利用、そしてガバナンスに関する3つのガイドラインを一つの枠組みに統合した。2026年3月31日に公表されたバージョン1.2では、AIエージェントおよびフィジカルAIに関する定義とリスクの整理が追加されたほか、ハルシネーションに関連するリスクと考えられる便益についての論点が拡充された。

  • インベントリ内の各システムについて、「AI開発者」「AI提供者」「AI利用者」という3つの主体区分のいずれに該当するかを特定する。ガイドラインは主体ごとに期待される対応措置を異なる内容で定めているためである。
  • すべてのAI事業者に共通して適用される指導原則を一つひとつ検討し、自社のガバナンス・プログラムがそれぞれに対応できているかを確認する。整合性の確認を単なる一回限りの文書レビューとして扱わないことが重要である。
  • 関連するガイドラインの推奨事項に意図的に従っていないシステムがある場合は、その事業上の理由を文書化する。ガイドラインには法的拘束力がないため、逸脱による法的リスクは低いが、認知された注意義務基準からの逸脱を文書化せずに放置した場合の、レピュテーションおよび訴訟対応上のリスクは決して低くない。
  • ガイドラインが改訂されるたびに、整合性の評価を更新する。バージョン1.2でAIエージェントが新たに取り扱われるようになったことは、自律的または半自律的なAIエージェントを展開する企業にとって直接関わりのある事項である。エージェント型システムは、これまでのバージョンが直接扱ってこなかった監督や人間の判断介在に関する論点を提起するためである。

5. 業種別要件を重ねて確認する

規制業種においては、一般的なAIガバナンスだけでは十分ではない。各業種の規制当局は独自のAI関連の期待事項を公表しており、その一部は既存の免許制度や行為規制を通じて拘束力を持ち、他は助言的な性格にとどまる。

  • 金融サービス。 金融庁が公表した、金融分野における健全なAI利用に関するディスカッションペーパーは、2025年3月に初版が公表され、2026年3月3日にバージョン1.1へと更新された。原則主義に基づく非拘束的な文書ではあるが、金融機関が既に運用しているリスク管理およびガバナンスに関する期待事項に、AIのユースケースを対応づけている。金融機関は、自社のAIリスク管理の実務を同ペーパーの論点に照らしてベンチマークし、監督当局との対話においてギャップを説明できるよう備えておくべきである。
  • 医療・医療機器。 診断、治療、予防を目的としたAI搭載ソフトウェアは、該当する分類基準を満たす場合、医薬品医療機器等法（薬機法）のもとで医療機器として規制され、医薬品医療機器総合機構（PMDA）による審査を要する。PMDAは、放射線領域を中心に多数のAI搭載SaMD（Software as a Medical Device）製品を承認しており、SaMDに特化した専用の相談プロセスを運用している。臨床意思決定支援や診断目的で使用されるAIシステムについては、早い段階でこの規制の対象となるか否かを確認すべきである。
  • 競争法。 公正取引委員会は2025年6月6日に「生成AIに関する競争政策上の考察」（バージョン1.0）を公表し、生成AI市場のインフラ、モデル、アプリケーションの各層にわたる競争環境を検証するとともに、知的財産権侵害、誤情報、サイバーセキュリティ、そしてより広範な競争政策上のリスクへの懸念を各層にわたって指摘した。支配的なAIプラットフォーム上で開発を行う、あるいはそれをライセンス利用する企業は、こうした動向に注意を払うべきである。また、価格設定やアルゴリズムによる意思決定にAIを用いる場合は、通常の競争法の原則に基づき、談合・協調のリスクについて検討すべきである。JFTCは、AIを用いた行為を新奇なカテゴリーとして扱うのではなく、通常の競争法原則を適用する方針を示している。
  • 雇用・労働。 採用や人員管理におけるAI利用を規律する、他法域で整備が進みつつあるような規則に相当する専用の日本の法律は存在しない。それでも、採用選考、人事評価、人員に関する意思決定に用いられるAIについては、差別禁止や公正な取扱いに関する一般的な労働法の原則に照らして検討すべきである。また、人事分野でのAI導入が進むにつれ、厚生労働省による今後の追加的なガイダンスの動向にも注意を払うべきである。
  • 上記に含まれない業種については、既存の免許制度を所管する規制当局がAIに特化したガイダンスを公表していないか、現地の弁護士に確認する。日本の規制当局は総じて、AIのために新たな法規制を立法するのではなく、既存の業種別枠組みをAIに拡張して適用する道を選んできた。そのため、該当するガイダンスは、既に報告義務を負っている規制当局自身が公表している場合が多い。

6. 取締役会レベルでの説明責任を定める

日本のAI関連ルールには法的拘束力がないため、組織が合理的な注意を払ったことを示す第一の証拠は、当局への届出ではなく、組織自身のガバナンス記録である。取締役会は、これを技術的な取り組みであると同時に、文書化と説明責任の取り組みとして捉えるべきである。

  • AIガバナンスについて、単一の責任を負う役員または委員会を任命し、取締役会への明確な報告ラインを設ける。AIリスクを、統括する責任者を置かないままIT部門、法務部門、事業部門に分散させたままにしないことが重要である。
  • AIガバナンスを、取締役会またはリスク委員会の常設議題とし、インベントリ、個人情報保護法および著作権法への準拠状況、AI事業者ガイドラインとの整合状況、業種別のリスク状況を、事業におけるAI導入のペースに見合った頻度で取り上げる。
  • AI推進法に基づき設置された、内閣総理大臣を長とする内閣の機関であるAI戦略本部、および同本部が策定する国のAI基本計画の動向を注視する。最初のAI基本計画は2025年12月23日に閣議決定され、改定計画は2026年7月14日に閣議決定された。いずれも企業に直接的な義務を課すものではないが、いずれも今後の政府のAI施策の方向性を示すものであり、第7条の協力努力義務の内容を判断する上での手がかりとなる。
  • リスク評価、AI事業者ガイドラインからの逸脱、第30条の4に関する検討、ベンダーに対するデューデリジェンスの結果など、AIガバナンスに関する意思決定について、文書化された監査証跡を維持する。ソフトローの環境下では、この記録こそが、後に規制当局、訴訟の相手方、あるいは取引先が懸念を提起した際に、組織が適用される注意義務基準を満たしていたことを示す根拠となる。
  • 国際的に事業を展開する組織においては、日本固有のガバナンス・プログラムを、グループ全体のAIガバナンスから切り離して運用するのではなく、その中に統合する。また、取締役会のメンバーが、日本のアプローチがEUのAI法など他法域の拘束力ある規制と構造的にどこで異なるかを理解し、グループ全体の方針を導入するだけで、個人情報保護法や著作権法に基づく日本固有の法的義務が当然に満たされるわけではないことを認識しておく必要がある。

7. 変化し続ける状況を一定の周期でモニタリングする

日本のAIガバナンスの枠組みは、なお構築が進行中である。AI基本計画は改定の対象となり、AI事業者ガイドラインは2024年以降、おおむね年に一度のペースで更新されており、金融庁のディスカッションペーパーも既にバージョン更新を経ており、個人情報保護法の改正法案は国会審議中のままである。静的なコンプライアンス・プログラムでは、こうした変化に取り残されてしまう。

  • AI事業者ガイドライン、AI基本計画、自社の業種に関連する規制当局の文書の新版、および個人情報保護法改正法案の審議状況を確認するため、少なくとも半年に一度の定期的なレビューの機会を設ける。
  • 国際的に事業を展開する企業は、日本がG7議長国であった2023年5月に立ち上げた国際的な枠組みであり、指導原則と高度なAI開発者向けの任意の国際行動規範を策定した「G7広島AIプロセス」への日本の関与についても注視する。これは依然としてソフトローにとどまるが、日本のガイダンスが今後も追随していく可能性の高い国際的な規範の方向性を示すものである。
  • 事業が新たな規制対象業務、法域、市場に参入する際には、その都度、業種別のリスクを再評価する。日本における業種別のAIガイダンスは、中央集権的にではなく規制当局ごとに個別に発出されており、全国的に足並みをそろえた発表を伴わずに新たなガイダンスが現れることがあるためである。

これら7つのステップすべての根底にある考え方は同じである。日本はAIを直接的に立法する道を選ばず、その任意のガイダンスは、いかに影響力が大きくとも、それ自体としては不遵守に対する罰則を伴わない。日本でAIを利用する企業にとっての法的リスクは、主として個人情報保護法、著作権法、そして業種別規制という、既に存在する拘束力ある法律を新しい技術に適用することから生じるものであり、任意のレイヤーは、その拘束力ある中核の周辺で、望ましい実務のあり方を規定するものである。罰則がないという理屈のもとで、AI事業者ガイドラインを形式だけでなく実質においても任意のものとして扱うガバナンス・プログラムは、リスクの読み違えである。これを実効性のある注意義務基準として扱い、個人情報保護法および著作権法上の立場を丁寧に文書化し、常に最新のインベントリと監査証跡を保持するプログラムこそが、日本のAI関連ルールが今後どちらの方向に発展しようとも、精査に耐えうるものとして構築されたプログラムである。

一次情報源

関連記事